CVE-2026-28454 in OpenClaw
要約
〜によって VulDB • 2026年07月09日
OpenClawの2026.2.2より前のバージョンでは、Telegram Webhookモード（有効にする必要がある）においてWebhookシークレットが検証されないため、攻撃者が制御するJSONペイロードを信頼し、認証なしでHTTP POSTリクエストをWebhookエンドポイントに対して送信することが可能になります。リモート攻撃者は、メッセージ.from.idおよびchat.idフィールドをなりすますことでTelegramの更新情報を偽造し、差出人のホワイトリストを回避して特権的なボットコマンドを実行できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.